PT-2026-69830
CVE-2026-72689
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات opensignserver الأقدم من 2.38.0
الوصف
توجد مشكلة في الترخيص على مستوى الكائن في وظيفة Parse cloud
getDocument. وهذا يسمح لمهاجم بعيد غير مصدق عليه بقراءة سجلات العقود بالكامل، بما في ذلك المعلومات الشخصية المحددة للهوية (PII) للمرسل والموقع، بالإضافة إلى رابط تنزيل المستند الموقّع مسبقًا. تحدث هذه المشكلة لأن الوظيفة تستخدم useMasterKey لجلب المستندات، مما يتجاوز قائمة التحكم في الوصول (ACL) الخاصة بالكائن. يتم تشغيل هذا السلوك كلما كان علامة IsEnableOTP الخاصة بالمستند غير محددة، وهو الإعداد الافتراضي.التوصيات
قم بتحديث opensignserver إلى الإصدار 2.38.0 أو أحدث.
كإجراء تخفيفي مؤقت، تأكد من تعيين علامة
IsEnableOTP لجميع المستندات لمنع الوصول غير المصرح به عبر وظيفة getDocument.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾